2026年9月11日起，欧盟《网络弹性法案》（Cyber Resilience Act，简称CRA，法规编号(EU) 2024/2847）的漏洞与事件报告义务率先生效；2027年12月11日起，其余网络安全要求将全面实施。这意味着出口德国及欧洲的智能硬件、物联网设备和软件，正在从”自愿安全”进入”强制合规”时代。
CRA覆盖哪些产品？你的产品是否在监管范围内
CRA适用于所有”含数字元素的产品”（products with digital elements）：智能家居、IoT物联网设备、联网工业设备、消费电子、软件及组件几乎全部纳入；医疗器械、汽车等已有专门法规（如MDR、机动车型式认证法规）覆盖的产品部分豁免。就跨境电商主流品类而言，智能门锁、摄像头、穿戴设备、路由器、传感器等都在第一波重点监管范围内。与包装领域此前落地的PPWR新规（见《欧盟PPWR包装新规8月12日生效：中国卖家5大合规要点》）一样，CRA同样按”生效日+过渡期”推进，留给企业的时间窗口并不宽裕。
9月11日先行生效：24小时漏洞报告义务
从2026年9月11日起，制造商一旦发现被积极利用的安全漏洞或严重安全事件，须在24小时内向ENISA（欧盟网络安全局）或所在国CSIRT（计算机安全事件响应团队）报告，并在72小时内通知受影响用户。欧盟境外制造商须通过境内授权代表履行报告义务。此前有欧洲平台因卖家漏洞通报不及时，直接下架整条产品线——对缺少欧洲本地团队的卖家，德企通可对接熟悉CRA的德国网络安全服务商，把漏洞监测与24小时值守外包给专业机构。
2027年12月全面实施：CE标志、授权代表与高额罚则
2027年12月11日起，产品须满足CRA安全要求并加贴CE标志方可进入欧盟市场；欧盟境外制造商必须指定欧盟境内授权代表（authorised representative）承担合规沟通义务。违反规定的罚款最高达1500万欧元或企业全球营业额的2.5%（取较高者），量级与GDPR相当，也与2026年8月生效的欧盟AI法案高风险义务（见《欧盟AI法案高风险义务生效：中企德国合规5要点》）形成叠加监管。对同时经营德国主体的中企而言，合规责任还会沿供应链传导到德国子公司。
中国出口企业5大合规要点
- 确认产品范围：对照CRA附件逐项核对在售与在研产品，智能硬件、IoT与联网软件基本都在列。
- 建立24小时报告流程：在9月11日前搭建”漏洞发现→评估→上报”响应机制，可外包欧洲本地值守团队。
- 指定欧盟授权代表：签署授权代表协议，作为与ENISA、CSIRT和监管机构对接的法定窗口。
- 准备CE符合性评估：按CRA要求整理安全设计、风险评估与技术文档，纳入2027年全面实施前的开发排期。
- 明确安全支持周期：在说明书与标签中注明更新支持期限，并保留补丁发布与漏洞修复记录。
对中国企业而言，出口欧洲的合规链条正在从”单点认证”变成”全生命周期安全”。此前有客户因漏洞通报不及时被欧洲平台下架，德企通协助其建立24小时上报流程并补签授权代表协议后恢复了销售资格；对于计划长期经营欧洲市场的企业，德企通可协助梳理在售产品是否落入CRA范围，并协调德国授权代表、技术文档与检测资源，在全面实施前从容完成过渡。